Auditoría de sistemas de información y uso de tecnología
Qué evalúa el dominio
Se evalúa la auditoría de sistemas de información y el uso de tecnología: riesgos de TI, controles automatizados, controles generales, análisis de datos y evidencia electrónica. Se relacionan NIA 315, 330, 402 y 620.
Reglas y conceptos
- La NIA 315 exige identificar riesgos de TI, incluidos accesos indebidos, cambios no autorizados y fallas de procesamiento.
- Los controles generales de TI -gestión de accesos, cambios, operaciones y respaldo- sostienen los controles automatizados.
- Las técnicas de auditoría asistidas por computador permiten probar poblaciones completas; antes debe validarse la integridad y precisión de los datos.
- La NIA 402 aplica cuando un proveedor de servicios procesa información relevante; se usan informes SOC y pruebas complementarias.
- La NIA 620 regula el uso del trabajo de un experto; el auditor conserva la responsabilidad de la opinión.
Ejemplo razonado
Para probar ventas, el auditor extrae el libro de ventas y lo concilia con el mayor y con los comprobantes electrónicos. Verifica el total de registros y el rango de fechas. Luego ejecuta una prueba de duplicados y de ventas fuera del período. Si el reporte se genera con parámetros manipulables, prueba la lógica del reporte o usa datos originales. La tecnología amplía la cobertura, pero no reemplaza la evaluación de riesgos.
Errores que cuestan puntos
Usar análisis de datos sin validar integridad; confiar en un informe del sistema sin probar su lógica; ignorar al proveedor de servicios; y aceptar el trabajo del experto sin evaluar su competencia.